Viele Unternehmen nutzen die von der Europäischen Kommission veröffentlichten sog. Standardvertragsklauseln zur Übermittlung personenbezogener Daten in Drittländer. Die Gültigkeit der Klauseln bildet den Gegenstand einer Vorlagefrage des High Court of Ireland vor dem EuGH (EuGH Rechtssache C-311/18). Nunmehr liegen die Schlussanträge des Generalanwalts vor.
Sachverhalt
Daten von in der Union wohnhaften Facebook-Nutzern werden von Facebook Ireland ganz oder teilweise an Server in den USA übermittelt und dort verarbeitet. Facebook stützt sich dabei auf Datenübertragungs- und -verarbeitungsabkommen zwischen Facebook Ireland und der Muttergesellschaft Facebook Inc. und die sog. Standardvertragsklauseln gemäß Kommissions-Beschluss 2010/87/EU.
In der vorliegenden Rechtssache ging es im Kern um die Gültigkeit dieser Standardvertragsklauseln bzw. des zugrundeliegenden Kommissions-Beschlusses.
Schlussanträge des Generalanwalts
Nach Auffassung des Generalanwalts bestehe kein Anlass, die Gültigkeit der Standardvertragsklauseln in Zweifel zu ziehen.
Die Gültigkeit sei zunächst unabhängig vom individuellen Schutzniveau des jeweiligen Drittlandes, in welches Daten übertragen werden. Im Hinblick auf die Gültigkeit der Standardvertragsklauseln komme es im Wesentlichen darauf an, ob hinreichend wirksame Regelungen bestünden, mit denen sich sicherstellen lasse, dass die auf die Klauseln gestützten Übermittlungen ausgesetzt oder verboten werden könnten, wenn die Klauseln verletzt würden oder es unmöglich sei, diese einzuhalten.
Die gemäß Standardklauseln vorgesehene Möglichkeit eines Datenexporteurs, eine Übermittlung auszusetzen oder einen betroffenen Vertrag zu kündigen, stehe nicht im Belieben des Exporteurs. Er müsse im Hinblick auf die Erfordernisse des Schutzes der sich aus der DS-GVO ergebenden Rechte der Betroffenen handeln. Auch habe der Datenempfänger die Pflicht, übermittelte Daten nur auftragskonform und unter Achtung der Standardvertragsklauseln zu verarbeiten.
Auch die Befugnisse der Kontrollstellen, Übermittlungen auszusetzen oder zu verbieten, stünden ebenfalls nicht in deren Belieben und seien auch nicht auf Ausnahmefälle begrenzt. Die Kontrollstellen müssten Beschwerden umfassend prüfen und bei einer Beeinträchtigung von Rechten betroffener Personen Maßnahmen ergreifen.
Anmerkung
Die Entscheidung deutet zunächst mit Blick auf die Einstufung der Gültigkeit der Klauseln darauf hin, dass diese auch weiterhin eine formal verlässliche Grundlage für einen Datenexport bilden. Dieser Befund dürfte aber nur auf den ersten Blick richtig sein. Soweit der Generalanwalt nämlich Befugnisse der Aufsichtsbehörden zum Aussetzen oder gar einem Verbot von Datenübermittlungen trotz vereinbarter Standardklauseln adressiert, dürfte mit dem Schlussantrag nämlich das für die Praxis eher unerfreuliche Ergebnis verbunden sein, dass die Standardklauseln keineswegs ein formal verlässlicher Weg mehr wären. Es stünde im Gegenteil stets die Möglichkeit einer behördlichen Aussetzung bzw. eines behördlichen Verbots zu befürchten.
Ob sich der EuGH den Erwägungen des Generalanwalts anschließen wird oder einen anderen Weg einschlagen wird, bleibt abzuwarten.
